Operando Sliver C2

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados, engajamentos de equipes vermelhas e fins educacionais. Operar um framework de comando e controle contra sistemas que você não possui ou para os quais não tem autorização escrita explícita para testar é ilegal e pode violar leis de fraude de computador, escuta telefônica e abuso. Sempre trabalhe dentro de um documento de regras de engajamento assinado.

Visão Geral

Sliver é um framework de emulação de adversários e comando e controle (C2) de código aberto e multiplataforma desenvolvido pela BishopFox (https://github.com/BishopFox/sliver). Ele é escrito em Go e amplamente utilizado por equipes vermelhas como uma alternativa moderna e aberta a frameworks comerciais como o Cobalt Strike. Sliver suporta dois modelos de interação de implantes: sessões (interativas, em tempo real) e beacons (check-in assíncrono com jitter configurável), e ele se comunica em C2 via Mutual TLS (mTLS), WireGuard, HTTP(S) e DNS. Cada implante é compilado dinamicamente com chaves de criptografia assimétricas por binário, de modo que nenhum implante compartilhe assinaturas estáticas.

Sliver também inclui um armory — um gerenciador de alias e pacotes de extensão que instala ferramentas de terceiros como Beacon Object Files (BOFs) e assemblies .NET (por exemplo, sharpdpapi, seatbelt, rubeus) para execução em memória. Como o Sliver foi adotado por atores de ameaças reais (documentado pela Cybereason, Microsoft e outros), exercitá-lo durante engajamentos sancionados é valioso tanto para emular táticas e técnicas de adversários realistas quanto para validar que os controles defensivos (EDR, detecção de rede, monitoramento de DNS) capturam seus canais C2. Esta habilidade abrange a implantação do servidor, geração de implantes, gerenciamento de listeners, execução pós-exploração e pivoteamento através de hosts comprometidos.

Quando Usar

• Ao conduzir um engajamento de equipe vermelha autorizado que requer um canal C2 resiliente e multiprotocolo
• Ao emular TTPs de um ator de ameaça específico que inclui Sliver (conforme relatórios de CTI) durante um exercício de equipe roxa
• Ao validar que o EDR e o monitoramento de rede detectam beaconing mTLS/HTTPS/DNS
• Ao demonstrar o impacto da pós-exploração e movimento lateral para um relatório

Pré-requisitos

• Um host dedicado de redirector/servidor de equipe Linux (o servidor Sliver roda em Linux/macOS/Windows; Linux é o padrão)
• Acesso root ou sudo para vincular portas privilegiadas (443/53) e instalar o daemon multiplayer
• Alcance de rede de saída/entrada correspondente ao protocolo C2 escolhido
• Familiaridade com Active Directory e conceitos de pós-exploração
• Autorização assinada / regras de engajamento

Instale o servidor Sliver com o one-liner oficial, ou baixe binários de release:

# Official installer (downloads latest sliver-server + client)
curl https://sliver.sh/install | sudo bash

# Or download specific release binaries from GitHub
wget https://github.com/BishopFox/sliver/releases/latest/download/sliver-server_linux
wget https://github.com/BishopFox/sliver/releases/latest/download/sliver-client_linux
chmod +x sliver-server_linux sliver-client_linux

Objetivos

• Iniciar o console do servidor Sliver e operar em modo single ou multiplayer
• Iniciar listeners C2 mTLS, HTTPS e DNS
• Gerar implantes de sessão e beacon para múltiplos sistemas operacionais/arquiteturas
• Preparar implantes e hospedá-los para entrega
• Interagir com callbacks, executar pós-exploração e extrair credenciais
• Instalar e executar extensões do armory (BOFs e assemblies .NET)
• Pivote para uma rede segmentada através de um host comprometido

Mapeamento MITRE ATT&CK

Técnicas relacionadas exercidas pelo fluxo de trabalho:

Fluxo de Trabalho

Etapa 1: Iniciar o console do servidor Sliver

Execute o servidor interativamente para obter o console do operador:

sudo ./sliver-server

Dentro do console sliver >, confirme a versão e visualize a ajuda:

sliver > version
sliver > help

Etapa 2: (Opcional) Configurar multiplayer para uma equipe

No servidor, gere uma configuração de operador e inicie o listener multiplayer:

…